linux - 在具有给定主题名称的文件夹中选择最新证书

Question

我正在考虑在 Azure CRP Linux VM 或 VMSS 池上轮换证书。部署它们的最简单方法(由 CRP 从 keyvault 安装)将所有证书放在一个文件夹 (/var/lib/waagent) 中， key 名为 {thumbprint}.prv，证书名为 {thumbprint}.crt。当我想添加新证书时，我可以启动一个命令，将新证书添加到同一文件夹中。

我目前正在寻找一份工作来监视文件夹并查看主题名称是否有新证书以及它何时执行依赖于主题名称的循环过程将它们指向新证书.我知道我可以将 openssl 与如下命令一起使用:
sudo openssl x509 -inform PEM -in/var/lib/waagent/{thumbprint}.pem -subject -enddate -noout
获取主题名称和有效期。然后我将不得不跟踪返回的每个主题名称，哪个证书在未来的到期日期中最远。

我的问题是，对于一个非常常见的用例来说，这感觉像是很多工作，想要找到对给定主题名称持续时间最长的证书。这在大多数 Linux 服务器上是如何处理的？有没有更好的方法来找出这个问题，然后让我每 t 秒运行一个 bash 脚本，它说我们现在有一个主题名称 x y z 的新证书，所以重新启动进程 a b c 只配置它们使用新证书 j k l？

Answer 1

Is there a better way to find this out then to just have a bash script I run every t number of seconds that says we now have a new cert for subject names x y z so restart processes a b c only configure them to use the new certs j k l?

据我所知，脚本比使用现有工具更灵活。看来你正在寻找 Linux 上的证书管理工具。我的建议是编写自己的脚本。顺便说一句，有几种商业解决方案允许 Linux 客户端针对基于 Windows Server 的 CA 服务器注册证书。